Po historycznym wycieku MyDr może grozić historyczna kara

Wyciek danych może mieć dla MyDr konsekwencje wykraczające daleko poza kryzys wizerunkowy. Służby badają okoliczności największego incydentu tego typu w kraju.

Chodzi o informacje związane m.in. ze stanem zdrowia, wizytami czy wystawianymi receptami. Po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa przekazano, że baza danych liczy ponad 2 TB, a z rozwiązania dostawcy systemu Elektronicznej Dokumentacji Medycznej korzystało około 12 tys. placówek.

Na stronie firmy czytamy, że „została ona założona w 2017 roku i od tego czasu z powodzeniem rozwija się i utrzymuje status lidera w pełni chmurowych rozwiązań EDM rynku oprogramowania medycznego w Polsce”.

Teraz specjaliści sprawdzą, jak doszło do wycieku i niewykluczone, że w przypadku stwierdzonych nieprawidłowości, firmę czeka rekordowa kara.

Kluczowe jest ustalenie, jak firma zabezpieczała systemy, czy prawidłowo zarządzała ryzykiem i czy można było zapobiec przełamaniu zabezpieczeń. Jeśli kontrola wykaże poważne zaniedbania, w grę może wejść jedna z najwyższych kar, jakie kiedykolwiek nałożono w Polsce.

Sam wyciek nie oznacza jeszcze kary

Zgodnie z prawem firma nie może zostać ukarana tylko dlatego, że stała się celem skutecznego cyberataku. Kwestię odpowiedzialności regulują zarówno przepisy KSC, jak i RODO.

Wicepremier przypomniał, że obowiązująca od tego roku nowelizacja ustawy o KSC nakłada na instytucje publiczne i prywatne określone obowiązki, których ramy są cały czas rozszerzane.

Na ten moment niczego nie przesądzam. Być może mamy do czynienia z błędem ludzkim, może błędem systemu, może z aktem sabotażu, a być może niedopatrzeniem firmy.
Wicepremier i minister cyfryzacji Krzysztof Gawkowski

Podobna analiza będzie prowadzona na gruncie RODO. W orzecznictwie dotyczącym rozporządzenia wskazywano już, że odpowiedzialność za naruszenie obowiązków związanych z bezpieczeństwem danych nie wynika automatycznie z faktu uzyskania przez osoby nieuprawnione dostępu do informacji.

Kluczowe jest ustalenie, czy administrator lub podmiot przetwarzający zastosował odpowiednie do ryzyka środki techniczne i organizacyjne.

Firma MyDr na swojej stronie internetowej w sekcji uruchomionej w związku z incydentem zaznacza, że „na obecnym etapie nadal prowadzimy postępowanie mające na celu ustalenie potencjalnego zakresu oraz wpływu incydentu. Będziemy przekazywać kolejne informacje, gdy tylko będzie to uzasadnione”.

Odpowiednie służby sprawdzą teraz m.in. czy prawidłowo przeprowadzano analizę ryzyka, jak wyglądało zarządzanie podatnościami, kontrola dostępu do systemów i kluczy, aktualizowanie oprogramowania, monitoring infrastruktury, wykrywanie niepożądanej aktywności oraz procedury reagowania na incydenty.

Jeżeli postępowanie wykaże, że MyDr nie zapewniło bezpieczeństwa adekwatnego do ryzyka, zastosowanie mogą mieć przepisy RODO, które zakładają, że za naruszenie obowiązków należących do tej grupy rozporządzenie przewiduje administracyjną karę pieniężną do 10 mln euro, a w przypadku przedsiębiorstwa – do 2 proc. jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym stosowany jest wyższy z tych pułapów.

Administrator czy pośrednik?

Według komunikatu UODO z 12 sierpnia, w przypadku MyDr mamy do czynienia z podmiotem przetwarzającym dane. UODO przypomniał też administratorom, którzy powierzyli firmie dane, o obowiązkach związanych ze zgłoszeniem naruszenia. Mimo że MyDr to podmiot przetwarzający, prawo nie wyłącza jednak odpowiedzialności firmy za własne obowiązki związane z bezpieczeństwem przetwarzania danych.

Kluczowe będzie więc postępowanie wyjaśniające i ustalenie, z jakich systemów pochodzą poszczególne zbiory oraz w jakiej roli MyDr przetwarzała poszczególne kategorie danych. RODO nakłada obowiązki w tym zakresie także bezpośrednio na procesorów.

Ustalenie, w jakiej roli MyDr przetwarzała poszczególne kategorie informacji oraz czy zastosowała środki adekwatne do skali i wrażliwości danych, może mieć kluczowe znaczenie dla ewentualnych sankcji.